PAM360 集成 The SSL Store™

PAM360助力用户从统一界面获取、集成、部署、续订和跟踪由商用证书颁发机构颁发的证书。
通过 PAM360 与The SSL Store ™ （世界范围内知名证书机构的平台合作伙伴）的无缝集成，您将可以选择直接使用 PAM360，管理来自Sectigo (Comodo)、Symantec、Thawte、 Geotrust和RapidSSL的证书。

在您开始集成之前，请确保完成了以下前提条件：

参考下述步骤从PAM360提交证书订单、获取、合并、部署和管理受信任证书颁发机构的证书。

1. 在PAM360中配置API身份验证凭据
2. 提交证书订单

   2.1配置DNS帐户

3. 域名验证、证书颁发和部署
4. 续订、重新颁发和删除证书订单

1. 在PAM360中配置API身份验证凭据

从PAM360请求和管理第三方 CA 证书的第一步是在The SSL Store ™ 门户注册专有企业帐户，其次是在PAM360 的界面生成API凭据。在The SSL Store™上设置企业帐户：

1. 导航到 企业注册链接 ，开始进行注册。
2. 按要求填写您的个人详细信息和组织详细信息，然后单击继续。
3. 然后将转到设置付款部分，您需要配置付款方式，并提供付款详细信息和帐单信息。
4. 提供详细信息后，单击继续 。
5. 您将被重定向到确认/令牌部分，其中显示 API 凭据（合作伙伴 ID 和令牌）。 将凭据复制并保存在安全位置。
6. 现在，切换到 PAM360 服务器并导航到证书 >> The SSL Store™选项卡。 单击窗口右上角的"管理"。
7. 在帐户选项卡下，提供生成的合作伙伴代码和令牌，然后单击保存。
8. 详细信息存储在PAM360中，配置API身份验证凭据是一次性的过程，您无需在每次下达证书订单时提供详细信息。

2. 提交证书订单

一旦配置了API身份验证凭据，就可以利用The SSL Store™的API，直接从PAM360对下述CA生成证书签名请求（CSR）、订单、及证书等进行管理：Sectigo、Symantec 、Thawte、GeoTrust和RapidSSL。

生成CSR并提交证书订单：

1. 导航到证书 >>The SSL Store™。
2. 单击订购证书。
3. 在打开的窗口中，选择供应商、验证类型、产品名称、域验证类型和有效性。
4. PAM360 支持所有三种域名验证方法：基于 DNS 、基于文件和电子邮件验证。
5. 然后，提供通用名称、算法长度、密钥库类型、密钥库密码、部署证书的服务器数量、服务器类型和审批者的电子邮件 ID。 用户还可以选择导入和使用现有的 CSR 或私钥。
6. 审批者电子邮件 ID 是域名验证 （ DCV ） 中验证邮件将发送到的电子邮件 ID。 审批者电子邮件 ID 应采用以下任一格式:
   •   <admin@domain>, <administrator@domain>, <hostmaster@domain>, <webmaster@domain> 或 <postmaster@domain>
   • 显示在域的WHOIS记录中并且对CA系统可见的管理员、注册人、技术人员或区域联系人电子邮件地址。
7. 然后，提供组织详细信息（仅适用于组织验证和扩展的验证订单类型），管理员联系方式详细信息以及提交证书订单的技术人员的联系方式详细信息。
8. 填写详细信息后，单击创建。
9. 您将被重定向到一个新的窗口，在该窗口中您可以看到表格视图右侧的证书订单列表及其状态。
注意：
• PAM360允许您从The SSL Store™导入帐户中的现有证书订单并跟踪其状态。从顶部菜单中的“更多”列表下，选择“导入现有订单”， 将现有的未完成订单导入PAM360。
• 另外，您可以在“管理”下预先配置您的组织详细信息，以免在每次下达OV / EV证书订单时都提供它。

2.1 配置DNS帐户

如果您的证书订单选择基于DNS的域验证，则应在PAM360中配置DNS帐户，并在DNS字段中指定该帐户，以便自动执行质询验证过程。要配置您的DNS帐户，操作如下：

1. 导航到证书 >>The SSL Store™ >> 管理
2. 切换到DNS选项卡。 单击添加，在打开的弹出窗口中，选择 DNS 提供商。
3. 在这里，您可以为每个支持的DNS提供商最多添加一个DNS帐户。PAM360当前支持针对Azure，Cloudflare和Amazon Route 53 DNS的自动域名验证。

2.1.1 对于 Azure DNS

1. 提供订阅ID，可在 Azure DNS 区域的概述页中提供。
2. 提供目录ID，可在 Azure 活动目录 >> 属性中可见。
3. 如果您有现有的 Azure 应用程序，请提供其应用程序ID和密钥。
4. 如果没有，请按照下面提到的步骤创建 Azure 应用程序和密钥，并赋予应用程序访问 DNS 区域以进行 API 调用的权限。

按照以下步骤从 Azure 控制台创建 Azure 应用程序和密钥：

1. 导航到应用程序注册 >> 新应用程序注册。
2. 提供应用程序名称，选择应用程序类型 Web 应用程序/API 并提供登录URL，单击创建。
3. 成功创建后，您将定向到显示应用程序 ID 的窗口。
4. 要获取应用程序密钥，请导航到密钥并创建密钥。
5. 提供密钥描述、持续时间并单击保存。
6. 保存密钥后，将显示密钥值。 复制并保存密钥值以用于引用。

授予应用程序对DNS区域的访问权限，操作如下：

1. 导航到创建所有 DNS 区域的资源组或切换到特定的 DNS 区域。
2. 切换到访问控制（ IAM ），然后单击添加。
3. 选择角色作为参与者，指派到Azure AD用户，组或应用程序以分配访问权限，搜索并选择在Azure目录中创建的应用程序，然后单击保存。
4. 现在，已创建的Azure应用程序可以访问DNS区域以进行API调用。
5. 现在，输入资源组名称，即在其中创建DNS区域的组名称，然后单击“保存”。
6. 您的DNS帐户详细信息将保存并列在“管理>> DNS”下。

2.1.2 对于Cloudflare DNS

1. 在电子邮件地址字段中，指定与 Cloudflare 帐户关联的电子邮件地址。
2. 对于全局API密钥，请使用Cloudflare DNS的域概述页面中的“生成API”密钥选项来生成密钥并将值粘贴在此字段中。
3. 单击保存您的 DNS 帐户详细信息将被保存并列在管理>>DNS 下。

2.1.3 对于AWS Route 53 DNS

1. 生成并指定与您的AWS账户关联的访问密钥ID和密钥。
2. 如果您没有 AWS 账户，请创建一个账户，然后按照以下步骤生成访问密钥 ID 和密钥:
   1. 登录到 AWS 控制台并导航到IAM 服务 >> 用户。
   2. 单击添加用户
   3. 提供用户名并选择访问类型作为程序访问。
   4. 切换到下一个选项卡，单击“设置权限”下的“直接附加现有策略”，然后 搜索“AmazonRoute53FullAccess”。
   5. 分配列出的策略并切换到下一个选项卡。
   6. 在标签部分，添加适当的标签（可选），然后切换到下一个标签。
   7. 查看所有输入的信息，然后单击“创建用户”。
   8. 创建用户帐户，然后生成访问密钥ID和密钥。复制密钥ID和密钥并将其保存在安全的位置，以备使用。
3. 如果您已经拥有一个AWS用户帐户，则必须向该用户授予“AmazonRoute53FullAccess ”权限，如果用户没有该权限，则必须生成访问密钥。并且，如果用户帐户已经具有关联的访问密钥，确保已授予所需的足够权限。

要授予所需的权限，操作如下：

1. 导航到权限选项卡，选择所需的用户帐户，然后单击添加权限。
2. 单击将现有策略直接附加到设置权限下，并搜索AmazonRoute53FullAccess。
3. 分配列出的策略并单击保存。
4. 接下来生成访问密钥：
5. 选择特定用户帐户并导航到安全凭据选项卡。
6. 在打开的窗口中，单击创建访问密钥。
7. 生成访问密钥 ID 和密钥，复制并将密钥 ID 和密码保存在安全位置，以备使用。

2.1.4 RFC2136 DNS Update

如果您使用的是支持RFC2136 DNS Update的开源 DNS 服务（如Bind、 PowerDNS 等），请按照以下步骤使用 PAM360 自动执行基于 DNS 的域名验证过程。

1. DNS 服务器 IP/主机名表示安装或运行 DNS 服务器的服务器名称 /IP 地址。
2. 服务器详细信息位于服务器安装目录中。例如，对于Bind9 DNS服务器，您可以在服务器安装目录中名为.local.conf的文件中找到这些文件。
3. 提供密钥密码，这是在服务安装目录中找到的密钥内容。
4. 提供密钥的名称，选择签名算法，然后单击"保存"。

3. 域名验证、证书颁发和部署

前提条件

如果部署质询文件的终端服务器是Windows计算机，请按照以下步骤安装Windows代理：

1. 导航到管理 >> PAM360代理，然后单击所需版本的Windows 代理：32 位或 64 位。
2. 执行以下命令:

   为 Windows 服务器安装 PAM360 代理:

   将 PAM360 代理安装为 Windows 服务

   1. 管理员方式打开命令提示符并导航到 PAM360Agent 安装目录。
   2. 执行从PAM360界面中复制的命令 AgentInstaller.exe install <代理密钥>。

   停止代理并卸载 Windows 服务

   1. 管理员方式打开命令提示符并导航到 PAM360Agent 安装目录。
   2. 执行命令Agentinstaller.exe stop。

一旦证书颁发机构收到您的订单，您将必须执行域名验证（ DCV ） 过程，以验证您对该域名的所有权。 PAM360 支持三种 DCV 方法:

1. 基于电子邮件的 DCV
2. 基于文件或 HTTP 的 DCV
3. 基于 DNS 的 DCV

3.1 基于电子邮件的域名验证

1. 在基于电子邮件的域名验证中，证书颁发机构向发出证书订单时指定的审批人电子邮件 ID 发送验证电子邮件。
2. 此电子邮件将指导您完成完成域名验证过程所需执行的步骤。
3. 完成步骤后，导航到PAM360服务器，然后切换到“证书>> SSL Store™” 选项卡。
4. 选择订单，然后单击顶部菜单中的检查订单状态。
5. 成功验证后，证书颁发机构将颁发证书，该证书将被提取并添加到PAM360的安全存储库中。要访问证书，请导航至“证书”选项卡。
6. 此后，您即可直接从PAM360部署证书到必要的终端服务器，例如证书存储库或IIS服务器。

单击此处了解有关证书部署的更多信息。

3.2基于文件/HTTP 的域名验证

• 如果选择了基于文件 /HTTP 的域名验证，则在创建订单时将显示质询文件。
• 导航到域名服务器，创建指定的路径并在该路径中部署质询文件。

您可以从PAM360自动完成在终端服务器中部署质询文件的整个过程，这可以通过在“管理”下的“部署”选项卡中配置服务器详细信息来实现。要自动执行域名验证，操作如下：

1. 导航到证书 >>The SSL Store™ >> 管理。
2. 切换到部署选项卡，然后单击添加。
3. 在打开的弹出窗口中，选择质询类型为http-01，指定域名，选择服务器类型（Windows 或 Linux ）并输入服务器详细信息。 单击保存。
4. 质询文件将自动部署到相应最终服务器的指定路径下。

5. 部署质询文件后，导航到 PAM360 服务器，切换到The SSL Store™选项卡，选择订单，然后从顶部菜单中单击检查订单状态。
6. 在域验证成功后，证书颁发机构会颁发证书并添加到PAM360的证书选项卡中，同时部署在管理>>部署的服务器指定路径中。

3.3 基于DNS的域名验证

1. 如果您选择了基于 DNS 的域名验证，则在创建订单时将显示 DNS 质询值和文本记录。
2. 在域服务器中手动复制和粘贴文本记录。

与 HTTP 质询类似，整个质询验证过程可以从 PAM360 进行自动化。 这可以通过在"管理"下的"部署"选项卡中配置服务器详细信息实现。自动执行域名验证:

1. 导航到证书 >> The SSL Store™ >> 管理。
2. 如果终端服务器是 Windows 计算机，则使用上述提到的步骤从 Windows 代理选项卡下载并安装 Windows 服务器的 PAM360 代理。
3. 切换到部署选项卡，然后单击添加。
4. 在打开的弹出窗口中，选择质询类型为dns-01指定域名，选择 DNS 供应商（ Azure 、 Cloudflare 或 Amazon Route 53 DNS ）并输入服务器详细信息。
5. 选中"证书"选项，在采购后将证书部署到最终服务器，单击保存。
6. DNS 质询值和文本记录将在相应的 DNS 服务器中自动创建。




7. 质询完成之后，导航到PAM360服务器，切换到“证书>>The SSL Store™” 选项卡，选择订单，然后从顶部菜单中单击“订单状态”。
8. 在成功进行域验证后，证书颁发机构将颁发证书，该证书将被提取并自动添加到PAM360的证书存储库中。要访问证书，请导航至“证书” 选项卡。
9. 至此证书直接从PAM360部署到所需的终端服务器，例如证书存储或IIS服务器。单击 此处了解有关证书部署的更多详细信息。
10. 另外，如果在“管理 >> 部署”下配置服务器详细信息时启用了“部署证书”选项，则证书在颁发后会自动部署到其相应的终端服务器 。

注意：

Ⅰ 对于基于DNS的域名验证，如果您在下订单时选择了在管理 >> DNS 下配置的DNS帐户，则PAM360会使用该帐户自动进行质询验证。相反，如果您已经在管理>> 部署下配置了域和服务器详细信息，则质询验证以及证书的部署将仅针对该特定域和服务器进行。

Ⅱ 对于RFC2136 DNS Update，如果您选择了“全局DNS配置”，则域名本身将充当区域名称（仅当您 对所有区域使用相同的“密钥密码”时，才可以使用全局DNS配置 ）。而如果您选择了域代理映射，则必须分别为每个域提供区域名称，密钥名称和密钥密码。

4. 续订、重新颁发和删除证书订单

您可以从PAM360对第三方证书颁发机构的证书执行续订、请求重新签发。

续订证书：

1. 导航到证书 >> The SSL Store™
2. 选择所需订单，然后从顶部菜单中单击"续订证书"。
3. 如有必要，完成域名验证 （ DCV ） 过程。
4. 验证成功后，证书将颁发，新版本将在证书选项卡自动更新。

要删除证书请求，请按照以下步骤操作：

1. 导航到证书 >> The SSL Store™。
2. 选择所需的证书，然后从更多中单击删除。
3. 证书请求将从 PAM360 中删除。

免责声明：只有在用户注册或具有The SSL Store帐户的情况下，PAM360才能支持从这些商用证书颁发机构。 PAM360使用The SSL Store™ 的API在颁发后导入证书，以提供更好的 PKI 管理功能。 所有个人信息（包括付款详情）均由 The SSL Store™ 收集和处理，ManageEngine 不对任何付款相关问题负责。 如果您在使用 PAM360 从附属于The SSL Store™ 的公共 CA 机构执行支付和采购证书方面遇到任何困难，请联系The SSL Store™ 技术支持团队。